DORA, le texte de référence
en matière de cyber-résilience
des entités financières

L’année 2022 a été d’une incomparable richesse normative dans le domaine du numérique au sens large, cette activité effrénée¹ reflétant notamment la préoccupation de défense des intérêts vitaux européens dans un domaine où croissent les menaces. À cet égard, le 27 décembre, a eu lieu une remarquable conjonction normative, puisque ce ne sont pas moins de quatre textes gigognes² fondamentaux en matière de sécurité physique et numérique des entités les plus sensibles qui ont été publiés au JOUE.

Cette activité législative foisonnante ne saurait surprendre. Si la résilience financière du secteur bancaire européen avait été renforcée dans le prolongement de la crise financière de 2008, la résilience numérique restait un domaine à encadrer et harmoniser. Certes, le renforcement du niveau de cybersécurité des opérateurs de services essentiels et des fournisseurs de services numériques ou l’élargissement du rôle de l’Agence de l’Union européenne pour la cybersécurité (ENISA)³ allaient dans le bon sens, mais n’étaient plus suffisants.

Le règlement DORA⁴ a ainsi pour objet de renforcer la cybersécurité⁵ plus spécifiquement dans le secteur financier, notamment au travers de l’encadrement et de la supervision des relations avec des prestataires dont l’importance n’a cessé de croître, au même rythme d’ailleurs qu’une certaine indocilité de ces derniers face aux exigences sécuritaires formulées par leurs donneurs d’ordre.

Si DORA s’inscrit dans le droit fil des textes susmentionnés, il s’appuie aussi sur d’amples réflexions notamment conduites au sein de l’Autorité bancaire européenne (ABE)⁶, mais également au sein de la Banque des règlements internationaux (BRI)⁷.

Le Conseil de Stabilité Financière souligne, pour sa part, que la plupart des cadres actuels de surveillance et d’octroi de licences sont antérieurs à l’émergence des fintechs⁸ et relève la nécessité d’une surveillance de « l’impact des nouveaux modèles d’entreprise et des systèmes de prestation de services financiers afin de déterminer comment ils affectent leur capacité à surveiller les transactions financières de bout en bout ». Cette préoccupation est également celle du Comité de Bâle⁹, lequel souligne que « les autorités compétentes de l’Union européenne [ont] le droit d’exiger directement du prestataire toutes les informations nécessaires à l’accomplissement de leurs tâches et d’effectuer des inspections sur site »¹⁰.

Dans un rapport de 2020 consacré au cyber-risque systémique, le Comité européen du risque systémique (CERS) a mis en lumière le fait que, d’une part, l’interconnexion entre des entités financières, des marchés financiers et des infrastructures des marchés financiers et, d’autre part, les interdépendances de leurs systèmes de TIC, étaient susceptibles de constituer une vulnérabilité systémique, en raison de la propagation d’un cyberincident localisé et ce, sans limitation géographique.

Le règlement DORA entend apporter une réponse à ces préoccupations. Il constitue à ce titre une lex specialis par rapport à NIS2¹¹ et s’applique, sauf quelques rares exceptions, à l’ensemble des acteurs du secteur financier¹².

DORA fixe un nouveau paradigme dans le domaine de la cybersécurité pour le secteur en recherchant la « résilience opérationnelle numérique »¹³ et non plus la seule maîtrise du risque opérationnel.

Pour autant ce texte est, en grande partie, un exercice de synthèse de principes connus. Pour mémoire, on mentionnera notamment le fait que l’entité financière reste entièrement responsable du risque cyber, que ce risque doit être géré en tenant compte d’un principe de proportionnalité, que les entités financières doivent établir une stratégie relative au risque liés aux tiers et assurer une surveillance de leurs prestataires informatiques, ce d’autant que les contrats de prestation soutiennent des fonctions critiques ou importantes. Enfin, est rappelé que les organes de direction assument une responsabilité importante dans ce domaine.

Toutefois, DORA ne se résume pas à un exercice récapitulatif. Tout d’abord, est prise en considération la notion de « risque de tiers » plutôt que celle d’ « externalisation », les exigences issues de ce nouveau règlement se voulant transverses et favorisant le partage d’informations, non seulement entre entités, mais aussi entre autorités. Si DORA ne fait pas de distinction entre l’externalisation et d’autres formes de recours à des fournisseurs de services TIC¹⁴, il distingue toutefois, au plan opérationnel, selon la nature des services concernés, avec une attention particulière pour les fournisseurs tiers soutenant des « fonctions critiques ou importantes ».

L’une des grandes avancées de DORA est également une double reprise en main des prestataires qui se trouvent d’une part, soumis à un corpus réglementaire obligatoire dans leurs relations avec leurs donneurs d’ordre et, d’autre part, à un cadre de supervision de la part des autorités européennes. Au risque d’une redite, le règlement attache bien entendu une attention toute particulière aux fonctions critiques ou importantes¹⁵ ainsi qu’aux prestataires tiers critiques de services TIC¹⁶.

En synthèse, DORA poursuit principalement quatre grands objectifs. Tout d’abord, la gestion du risque informatique et, notamment, la gouvernance des entités concernées et, enfin, une harmonisation des mesures techniques de résilience.

Le deuxième objectif est la gestion des incidents informatiques, leur catégorisation et la notification des incidents informatiques majeurs et des cybermenaces.

Le troisième objectif concerne la question des tests de résilience à conduire. Il s’agit des tests de résilience opérationnelle, tests de pénétration « avancés »¹⁷ et des exigences relatives aux personnes en charge de la conduite de ces tests¹⁸. L’article 45 concerne par ailleurs les échanges d’informations entre entités financières en matière de renseignements sur les cybermenaces.

Le quatrième objectif est lié à la gestion des relations avec les prestataires de services TIC. Cette préoccupation se manifeste dans le domaine contractuel, y compris la question sensible du risque de concentration¹⁹, mais aussi, nous l’avons vu, dans le domaine de la supervision des prestataires critiques de services TIC par les autorités européennes de supervision.

Cette question concerne notamment la gouvernance interne des entités concernées, l’article 5 fixant avec précision les missions et responsabilités de l’organe de direction lequel assume la « responsabilité ultime » (article 5, par., 2a) de la gestion du risque lié aux TIC. S’agissant du périmètre des organes de direction, on notera que DORA fait référence à cinq textes²⁰ et qu’il vise, de manière alternative, « ...les personnes assimilées qui dirigent effectivement l’entité ou qui exercent des fonctions clés ».

Le règlement fait de l’organe de direction le chef d’orchestre de la cybersécurité en ce qu’il approuve, supervise et assume la responsabilité de la mise en œuvre de l’ensemble des strates concourant à la robustesse du cadre de gestion du risque. Cette omniprésence ne saurait surprendre. Elle était déjà décrite dans la notice ACPR du 7 juillet 2021²¹, on peut toutefois regretter une absence de distinction tenant compte de la répartition des tâches entre les organes directions (conseil de surveillance, dirigeants effectifs...).

S’agissant des obligations de formation spécifique à destination des dirigeants (article 5-4), la question n’est pas nouvelle et fait l’objet d’un encadrement bien établi en droit positif. Ainsi, la notice de l’ACPR susmentionnée soulève cette question²² dans son point 25²³, lequel évoque des actions adaptées pour les dirigeants effectifs et, à titre de bonne pratique, pour les membres de l’organe de surveillance.

Toujours en ce qui concerne les dirigeants, la BCE dans son guide des évaluations d’aptitude et de conformité de décembre 2021 (§ 3.5, p. 47) prévoit qu’il doit y avoir « un nombre suffisant de membres ayant des connaissances dans chaque domaine pour permettre des discussions et des remises en question efficaces et de prendre des décisions solides ». Parmi ces domaines, figurent les « technologies de l’information et la sécurité ».

Il convient de souligner que la responsabilité des dirigeants est un véritable leitmotiv réglementaire. Pour exemple, dans le domaine bancaire, les lignes directrices 2020/06 du 29 mai 2020 sur l’octroi et le suivi des prêts prévoient une implication de l’organe de direction, lequel doit avoir une compréhension suffisante de l’utilisation des innovations technologiques, de ses limites et de son impact sur les procédures d’octroi de crédits (§ 4.3.3). Par ailleurs, ce sujet est une préoccupation de la BCE, cette dernière s’intéressant à l’aptitude collective des conseils d’administration en ce qui concerne leur expertise informatique²⁴.

En bonne logique, DORA prévoit que l’organe de direction assure un suivi des contrats avec les prestataires tiers de services TIC, un membre de la direction générale pouvant être désigné responsable de la surveillance de l’exposition à ce risque²⁵. D’autre part, ce même organe doit examiner régulièrement les contrats de prestation portant sur des fonctions critiques ou importantes²⁶. On notera enfin que DORA exige que la responsabilité de la gestion et de la surveillance du risque lié aux TIC soit confiée à une fonction de contrôle ayant « un niveau approprié d’indépendance afin d’éviter les conflits d’intérêts »²⁷.

Sur le plan plus opérationnel, il convient de souligner deux exigences de DORA pouvant avoir un impact important. Tout d’abord, est prévu un « isolement » des actifs informationnels infectés²⁸ et, d’autre part, en matière de restauration des données de sauvegarde, l’utilisation de systèmes qui soient « séparés physiquement et logiquement du système de TIC source »²⁹. On attend que les autorités de supervision européennes, en accord avec l’ENISA, émettent des normes techniques de réglementation relative au cadre de gestion du risque TIC³⁰.

DORA s’intéresse également aux « systèmes hérités », comprenons par-là les systèmes EOL (End Of Life)³¹, sujet déjà abordé dans les orientations de l’EBA 2019/04 sur la gestion du risque TIC (§ 55). Selon la BCE³², pour l’année 2021, le nombre d’institutions qui ont déclaré être dépendantes d’au moins un système en fin de vie soutenant des activités critiques est stable (environ 78 %) par rapport à l’année précédente. La BCE relève également l’absence de plans de migration à un horizon de trois ans pour 32 % des institutions ayant au moins un système EOL critique.

Dans ce domaine, on notera particulièrement la mention d’une communication de crise³³ favorisant une « divulgation responsable », a minima des incidents majeurs liés aux TIC ou des vulnérabilités aussi bien aux clients qu’aux contreparties et, plus largement au public. Cette communication de crise devra tenir compte de l’importance de l’incident, domaine dans lequel interviendront des normes techniques de réglementation³⁴.

Autre point saillant de cette gestion du risque informatique, la notification obligatoire des incidents majeurs auprès d’une autorité nationale compétente. DORA prévoit un dispositif à plusieurs détentes. D’une part, dès qu’elles « ont connaissance » d’un incident majeur lié aux TIC ayant « une incidence sur les intérêts financiers des clients », une information³⁵ relative à cet incident et aux mesures prises pour en atténuer les effets préjudiciables doit avoir lieu auprès des clients. Bien que DORA ne vise que les intérêts financiers de la clientèle, on ne peut écarter le fait que cette disposition puisse se cumuler avec les exigences de l’article 33-1 du RGPD³⁶ en matière de protection des données personnelles. Par ailleurs, la notion d’incidence n’est assortie d’aucune précision sur l’ampleur de cette dernière.

Par ailleurs, DORA détaille trois étapes à respecter en matière de notification³⁷. Tout d’abord, une notification initiale, suivie d’un rapport intermédiaire, sitôt que la situation de l’incident initial a « sensiblement évolué », éventuellement suivi de notifications actualisées en fonction d’une modification des circonstances ou d’éventuelles demandes de l’autorité compétente. Enfin, un rapport final est rédigé après analyse des causes originelles, mises en place de mesures d’atténuation et lorsque l’évaluation chiffrée des incidences est disponible en lieu et place des estimations.

L’autorité nationale doit ensuite informer notamment les autorités européennes de supervision et la BCE lesquelles décident, en accord avec l’ENISA et en coopération avec l’autorité compétente concernée, si l’incident nécessite une information des autorités compétentes concernées des autres États membres.

Il convient de noter que DORA prévoit une notification purement volontaire³⁸ s’agissant d’une cybermenace « importante »³⁹ si celle-ci est « pertinente pour le système financier, les utilisateurs de services ou les clients ».

La question des tests émaille DORA, ces derniers apparaissant comme une diligence fondamentale dans l’amélioration des processus d’évaluation du risque TIC. Le règlement prévoit un corpus général de règles applicables aux tests, ainsi qu’un régime particulier destiné aux entités les plus sensibles⁴⁰.

De manière générale, la conduite des tests doit répondre à un critère de proportionnalité au regard de la taille, du profil de risque global et de la nature, de l’ampleur et de la complexité des activités. Ils doivent être conduits, au moins une fois l’an pour les plans de continuité d’activité et de rétablissement des systèmes TIC de toutes les fonctions. Ces mêmes tests doivent par ailleurs être mis en place en cas de modification « substantielle » des systèmes TIC soutenant des fonctions critiques ou importantes⁴¹, DORA précisant que sont également envisagés des tests relatifs au plan de communication crise⁴².

Au titre de la typologie des tests⁴³, DORA précise que ceux-ci doivent avoir lieu avant tout déploiement ou redéploiement d’applications et composantes d’infrastructures et de services TIC soutenant des fonctions critiques ou importantes.

S’agissant des entités les plus sensibles, celles-ci conduisent, au moins tous les trois ans, des tests dits « avancés » au moyen d’un test de pénétration fondé sur la menace, « en environnement de production en direct », soutenant l’une, voire la totalité, des fonctions critiques ou importantes⁴⁴. Ces entités sont désignées par les autorités compétentes en fonction de trois critères reposant sur l’impact de leur activité sur le secteur financier, leur dimension systémique nationale ou européenne, et le profil du risque cyber, la maturité des systèmes ou les caractéristiques technologiques concernées.

Dans ce cas figure, s’appliqueront des normes techniques de réglementation⁴⁵ élaborées conjointement par les trois autorités européennes de supervision et la BCE.

Ces tests seront effectués conformément au cadre TIBER-EU⁴⁶, guide à l’échelle européenne abordant la manière de collaborer des entités amenées à élaborer et conduire des tests fondés sur une cyberattaque contrôlée. L’article 26 de DORA prévoit notamment que la conduite de ces tests peut être réalisée par des testeurs externes⁴⁷ ou (sauf pour les établissements de crédits classés importants) internes. Dans ce dernier cas, il faut néanmoins avoir recours à un testeur externe tous les 3 tests.

Les résultats de ces diligences peuvent être partagés. Les entités financières ont en effet la possibilité d’échanger entre elles diverses informations⁴⁸, pour autant que de tels partages aient pour objet l’amélioration de la résilience opérationnelle numérique, qu’ils se déroulent au sein « de communautés d’entités financières de confiance » et, qu’enfin, ils soient respectueux du respect du secret des affaires, de la protection des données à caractère personnel et de la concurrence. Une telle communauté de partage doit se doter de conditions de participation, les autorités compétentes⁴⁹ devant être informées tant de la participation à une telle communauté, que de la cessation de l’adhésion à cette dernière.

Face à des prestataires de services TIC parfois indociles (indocilité proportionnelle à leur surface financière, leurs parts de marchés et leur avance technologique), DORA entend asseoir une reprise en main des relations contractuelles marquées aujourd’hui par une forte asymétrie. Cette reprise en main se manifeste essentiellement au travers de l’encadrement des relations contractuelles, indépendamment de la nature (critique, importante ou pas) des prestations en cause, mais aussi, par l’intervention du superviseur principal.

Les articles 28 à 30 posent les principes clés en matière de gestion des risques relatifs aux prestataires de services TIC dans leur ensemble. Les diligences attendues concernent l’ensemble de la relation contractuelle, en ce compris les vérifications préliminaires à la signature d’un contrat⁵⁰, notamment en ce qui concerne la criticité ou l’importance des fonctions objets des prestations de services TIC.

Pour le reste, DORA se borne à énumérer un certain nombre de thématiques qui doivent être abordées, mais sans prescrire le contenu des clauses dédiées à ces dernières. De fait, les clauses contractuelles types de l’EBA en matière d’externalisation n’occupent plus qu’un « strapontin réglementaire »⁵¹ puisque l’article 30, paragraphe 4, de DORAprécise simplement que, lors de la négociation, les parties « envisagent » l’utilisation de ces dernières.

Parmi les thématiques sensibles, se trouve le risque de concentration et les conflits d’intérêts risquant de découler du contrat, ainsi que le respect des normes « adéquates » de sécurité par le prestataire⁵². S’agissant du risque de concentration, il est décrit comme une exposition à des prestataires tiers critiques créant un degré de dépendance tel que « l’indisponibilité, la défaillance ou tout autre type d’insuffisance de ces derniers » est de nature à mettre en péril la capacité d’un établissement à assurer des fonctions critiques ou importantes, ou l’exposer à subir d’autres types d’effets préjudiciables (y compris des pertes importantes), voire à mettre en péril la stabilité financière de l’Union dans son ensemble. Ce risque était déjà évoqué dans les lignes directrices de l’Autorité bancaire européenne relatives à l’externalisation et visait l’externalisation auprès d’un prestataire de services non facilement substituable, ainsi que les accords d’externalisation multiples conclus avec un ou plusieurs prestataires étroitement liés.

Pour l’ACPR⁵³, « la maîtrise du risque de dépendance vis-à-vis d’un ou de plusieurs fournisseurs suppose la mise en place d’un pilotage consolidé des contrats négociés avec les fournisseurs et l’implication de la direction générale dans la validation des activités externalisées au-delà de seuils de dépendance à définir ». La question principale est celle de la détermination d’un « seuil » de dépendance lorsque l’on sait que, fondamentalement, certains marchés tel celui du cloud computing ont une structure oligopolistique.

In fine, les établissements doivent instituer une fonction dédiée au suivi des contrats avec les prestataires tiers de services TIC (que ces contrats soutiennent ou pas des fonctions critiques ou importantes), ou désignent un membre de la Direction générale⁵⁴ pour ce faire.

Lorsque le contrat de services TIC porte sur des fonctions critiques ou importantes, deux remarques s’imposent. La première pour rappeler que l’article 28, paragraphe 3, de DORA prévoit « qu’en temps utiles », les entités financières informent l’autorité compétente de tout projet de contrat comportant une prestation de services TIC soutenant des fonctions critiques ou importantes⁵⁵. Il en est de même en cours d’exécution du contrat, lorsque les fonctions concernées deviennent critiques ou importantes.

La seconde pour rappeler que des mentions complémentaires sont prévues par l’article 30⁵⁶, notamment relatives aux stratégies de sortie des prestations, aux niveaux de services qui doivent être assortis d’objectifs de performance quantitatifs et qualitatifs précis ou à l’obligation du prestataire de participer et de coopérer pleinement aux tests d’intrusion fondés sur la menace et effectués par l’entité financière.

On notera que l’article 13, paragraphe 6, prévoit que, le cas échéant, les établissements peuvent inclure leurs prestataires de services TIC dans leurs programmes de formation.

Il convient par ailleurs d’avoir présents à l’esprit les temes de l’article 31, paragraphe 12, qui prévoit expressément que les entités financières ne font appel aux services d’un prestataire tiers critiques de services TIC, établi dans un pays tiers, que si ce dernier a établi une filiale dans l’Union européenne dans un délai de 12 mois à compter de sa désignation en tant que prestataire critique par le comité mixte des superviseurs européens⁵⁷. Cette précaution, sans doute motivée par une volonté de limiter le risque d’exposition à des règles extra-territoriales, ne devrait pas avoir un impact significatif sur a-l’application de textes tels que le Cloud Act, ou bien encore, le FISA Act.

Le superviseur principal est désigné par les autorités de supervision européennes, au travers du comité mixte et sur recommandation du forum de supervision⁵⁸. Ces dernières sont non seulement chargées de désigner les prestataires tiers critiques de services TIC pour les entités financières, mais aussi le superviseur principal en fonction du type d’activité que celles-ci exercent.

S’agissant des contrats de prestations sensibles, ceux-ci font l’objet d’une attention particulière de la part de ce superviseur principal qui est en mesure de formuler des recommandations en présence d’une sous-traitance, en ce compris les accords de sous-traitance par le prestataire, dont la poursuite peut entraîner des risques pour la continuité des services de l’entité financière ou pour la stabilité financière⁵⁹. Ces pouvoirs de supervision peuvent aller jusqu’à la recommandation et l’abstention de conclure de nouveaux accords de sous-traitance⁶⁰, voire un pouvoir d’astreinte⁶¹ afin de contraindre un prestataire à se plier aux demandes qui lui sont faites dans le cadre d’une enquête ou d’inspections.

On notera enfin une possibilité d’alerte⁶², par le superviseur principal, s’agissant d’un prestataire tiers critique de services TIC qui refuserait de corriger une « approche divergente » pouvant avoir une incidence négative sur un grand nombre d’entités financières ou sur une partie importante du secteur financier. Concrètement, cette mesure se traduit par des « avis non contraignants et non publics » à l’intention des autorités compétentes, afin de promouvoir « des mesures de suivi cohérentes et convergentes en matière de supervision ».

DORA entera en application le 17 janvier 2025 et sera révisé au plus tard le 27 octobre 2027. Dans les mois qui viennent interviendront les divers textes de niveau deux (11 au total) destinés à préciser certaines conditions de mise en œuvre de ce règlement. Se pose dès aujourd’hui, pour les établissements concernés, la question de l’implémentation de DORA, laquelle passera nécessairement par une analyse d’écart avec la réglementation applicable. Comme ce fut le cas pour le RGPD, avant même de penser à appliquer ce nouveau texte, il faudra préalablement évaluer le niveau de conformité actuel des dispositifs en matière de cybersécurité. n